Frontend Dashboard WordPress-Plugin: Privilege Escalation durch falsch zugewiesene Berechtigungen

Zusammenfassung

Das WordPress-Plugin Frontend Dashboard bis einschliesslich Version 3.0.7 enthält eine fehlerhafte Berechtigungszuweisung, die eine Privilege Escalation ermöglicht. Laut CNA-Eintrag und Patchstack könnte ein Benutzer mit niedrigen Rechten, etwa ein Subscriber, zum Administrator werden und die volle Kontrolle über die Website erlangen. Der CNA-Vektor weist auf Angriffe über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion hin; Patchstack nennt als erforderliche Berechtigung Subscriber, die genauen Voraussetzungen sind noch nicht verifiziert.

Betroffen

• Frontend Dashboard WordPress-Plugin, alle Versionen bis und mit 3.0.7
• Patchstack gibt den betroffenen Bereich mit <= 3.0.7 an

Behoben in

• Version 3.0.8 (laut Patchstack; nicht durch das Changelog des Herstellers für diese CVE bestätigt)
• Auf die neueste verfügbare Version aktualisieren

Umgehung

• Unbekannt.
• Öffentliche Benutzerregistrierung einschränken oder deaktivieren, Konten mit erhöhten Rechten prüfen und das Plugin deaktivieren, falls es nicht essenziell ist.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• VulDB meldet, dass eine Ausnutzung über das Netzwerk möglich ist; ein öffentlicher Exploit ist nicht bekannt.
• Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; CISA SSVC gibt Exploitation als none und Automatable als yes an.

Unsere Empfehlung

• Prüfen, ob das Plugin Frontend Dashboard installiert ist und welche Version läuft.
• So rasch wie möglich auf Version 3.0.8 oder neuer bzw. auf die neueste Version aktualisieren.
• Website auf unerwartete Administratorkonten und Anzeichen einer Kompromittierung prüfen, falls Version 3.0.7 oder älter öffentlich erreichbar war.
• Benutzerregistrierung einschränken und das Plugin deaktivieren, falls es nicht benötigt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-107424 patchstack.com
• VulDB entry 419815 vuldb.com
• Strix CVE-2026-107424 www.strix.ai
• Vulners VULNRICHMENT CVE-2026-107424 vulners.com
• OffSeq radar CVE-2026-107424 radar.offseq.com
• WordPress.org Frontend Dashboard plugin wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:02.